SCIM (documentação legada)

O sistema de gerenciamento de identidade entre domínios (SCIM) permite automatizar o provisionamento e o gerenciamento de usuários entre a Miro e seu provedor de identidade (IdP).

Disponível para:Enterprise plano
Configurado por: Admins da empresa

Importante saber

• O logon único baseado em SAML deve estar configurado corretamente e estar funcional no seu plano Enterprise antes de você começar a configurar o provisionamento automatizado.
  Veja o guia de configuração do logon único baseado em SAML.
• Sincronizar grupos do IdP com os times na Miro é opcional.
  Você pode vincular e sincronizar opcionalmente seus grupos do IdP com os times na Miro. Não é possível criar ou excluir times usando o IdP. Você pode criar e gerenciar times usando a Teams API. Para mais informações sobre como a SCIM API permite gerenciar grupos do IdP, consulte a documentação para desenvolvedores da Miro.
• Alterações de endereço de e-mail no SCIM seguem as seguintes regras de validação:
  • Verificação de usuário gerenciado: Se o domínio atual do usuário não estiver reivindicado pela organização que iniciou a solicitação SCIM, a atualização do e-mail é bloqueada e retorna um erro 400.
  • Verificação do domínio do e-mail de destino: Se o domínio do e-mail de destino estiver reivindicado por uma organização diferente da que iniciou a solicitação SCIM, a atualização do e-mail é bloqueada e retorna um erro 400. Se o domínio do e-mail de destino estiver reivindicado pela organização que iniciou a solicitação SCIM, a atualização do e-mail é permitida sem exigir confirmação por e-mail. Os logs de auditoria registram a atualização em cada organização da qual o usuário é membro.
  • Controle de domínio e logon único: As atualizações de e-mail são permitidas com base na verificação de domínio por meio do Controle de Domínio (IDC) ou do logon único (SSO). Se o domínio de e-mail de destino for verificado por meio do IDC ou do SSO pela organização que inicia a solicitação, a atualização pode prosseguir.
    
    Um diagrama do fluxo de trabalho de validação da alteração de e-mail do SCIM

Regras sob as quais o SCIM da Miro opera

• As alterações sincronizadas pelo SCIM são aplicadas principalmente a usuários recém-atribuídos. O status daqueles que já estão sob sua assinatura será complementado, mas pode não ser substituído, pois as alterações são aplicadas no nível do time. Por exemplo: 
  a) se um usuário for membro do Time1 no lado da Miro e seu IdP enviar uma atualização para adicioná-lo ao Time2, seu status no Time1 permanecerá inalterado. 
  b) se o seu IdP enviar uma atualização contendo alterações no Usuário1, os demais membros do time não serão afetados. Conforme mencionado em Funcionalidades suportadas > Grupos de notificação push e sincronização, para substituir o status do time e sincronizar novamente todos os usuários de uma só vez, tente iniciar um novo push.
  
• Todos os usuários provisionados pelo SCIM recebem a licença padrão da sua assinatura:
  a) Para assinaturas Enterprise sem o Programa de licenças flexíveis: uma licença completa. Se sua assinatura ficar sem licenças, os usuários começarão a ser provisionados sob a licença gratuita limitada.
  b) Para assinaturas Enterprise com Programa de licenças flexíveis ativado: licença Free ou licença gratuita limitada, dependendo da licença de assinatura padrão.
  - Se você precisar que alguns usuários sejam provisionados sob uma licença diferente da licença padrão:
  conforme declarado acima, todos os usuários recebem a licença padrão. No entanto, você pode atualizar imediatamente todos ou alguns deles usando o UserType atributo com o valor Full. Os usuários atualizados com esse atributo serão atualizados para a licença completa sem tempo de inatividade para o usuário.
• Todos os usuários provisionados no SCIM também são afetados pela funcionalidade Controle de domínio. Isso significa que, se um usuário for membro de apenas um grupo de segurança no seu provedor de identidade, mas suas configurações de Controle de domínio definirem três times como designados, o usuário também será adicionado a esses três times.

• Para proteger o serviço, a Miro limita o número de chamadas de API disponíveis a cada 30 segundos:
  
  

  Tipo de solicitação	Nível de limite
  GET scim/users   GET scim/users/{userId}	Primeiro limite de taxa nível 1
  POST scim/users/{userId}   PUT scim/users/{userId}   PATCH scim/users/{userId}   DELETE scim/users/{userId}	Terceiro limite de taxa nível 3
  GET scim/Groups   PATCH scim/Groups/{groupId}	Quarto limite de taxa nível 4
  GET scim/Groups/{groupId}	Terceiro limite de taxa nível 4

  
  Para detalhes sobre os níveis de limite, consulte aqui. Se o número de solicitações exceder o limite, a Miro retornará o padrão 429 Too many requests.

Funcionalidades compatíveis

O esquema detalhado do SCIM da Miro pode ser encontrado aqui.

A Miro é compatível com as seguintes funcionalidades de provisionamento:

• Criar novos usuários
  Novos usuários atribuídos ao aplicativo da Miro no IdP serão criados na sua assinatura Enterprise da Miro como Membros Enterprise. Usuários que forem adicionados a um grupo do IdP sincronizado com um time da Miro com o mesmo nome serão adicionados ao time como membros.
• Enviar atualizações do perfil do usuário
  Para os atributos e alterações suportados, veja abaixo.
  
• Sincronizar e aplicar (push) IdP grupos
  Sincronize seus grupos do IdP e seus membros com os times na sua assinatura Enterprise da Miro para gerenciar automaticamente a associação de usuários. A sincronização contínua enviará atualizações específicas sobre os usuários do seu grupo do IdP para o time sincronizado na Miro, enquanto um push substituirá o status do time, tratando o grupo do IdP como fonte da verdade (se houver alterações manuais feitas pelos Admins da empresa no lado da Miro).
  
• Desacople os nomes do grupo do IdP e do time da Miro
  A Miro sincroniza os grupos do IdP e os times da Miro por nome, portanto eles devem ter exatamente o mesmo nome. No entanto, depois que a sincronização inicial for criada, você poderá dar a um ou a ambos os nomes que forem mais convenientes para você. Veja um exemplo de desacoplamento aqui
• Remover usuários do grupo do IdP/time da Miro (não da assinatura Enterprise, veja abaixo)
  Remover um usuário de um grupo do IdP o removerá do time sincronizado da Miro (durante a próxima notificação push de grupo)
• Desativar usuários
  Desativar ou excluir um usuário, ou desabilitar seu acesso ao aplicativo no IdP, irá desativar o usuário no seu plano Enterprise da Miro. Dependendo da situação, desativar um usuário pode reatribuir seu conteúdo aos admins do time mais antigos:
  
  • se você desativar o usuário no lado do IdP, mas mantê-lo atribuído ao aplicativo da Miro, a associação ao time no lado da Miro não será alterada e seu conteúdo não será reatribuído. O usuário será simplesmente movido do status Ativo para Desativado (e para a seção de usuários, respectivamente) e deixará de consumir uma licença.
    
  • se você acionar a desativação excluindo o usuário no IdP ou desatribuindo-o do aplicativo da Miro, enquanto o usuário for membro de alguns times sincronizados, o usuário também será removido desses times da Miro e seu conteúdo nesses times será reatribuído aos admins do time mais antigos. 
    
  • Se você acionar a desativação ao excluir o usuário no IdP ou ao desatribuindo do aplicativo da Miro, quando o usuário não for membro de nenhum sincronizados times, a associação do usuário ao time não será alterada e seu conteúdo não será reatribuído.
    Remover um usuário da assinatura Enterprise não é suportado por padrão. Ainda assim, você pode adicionar manualmente a funcionalidade usando a API para remover completamente o usuário da assinatura, em vez de configurá-lo para o status Desativado. Neste cenário, o conteúdo é reatribuído para os respectivos membros do time. É impossível definir quais admins terão a titularidade sobre o conteúdo reatribuído automaticamente. Mas isso pode ser definido quando você desativar um usuário nas configurações da Miro.
• Reativar usuários
  Atribuir um usuário de volta ao aplicativo ou reativar o perfil de usuário no IdP irá reativá-lo na sua assinatura Enterprise da Miro se ele tiver sido provisionado e desativado anteriormente.
• Automatizar alocação em grupos de cobrança
  Atribua automaticamente novos usuários a grupos de cobrança usando SCIM. Depois que seu Provedor de Identidade (IdP) estiver configurado, vincule seus centros de custo aos seus grupos de cobrança. Isso garante que todos os usuários atuais e futuros desses centros de custo sejam automaticamente classificados na categoria de cobrança correta.

Você também pode remover usuários do seu plano Enterprise enviando uma chamada direta da API Excluir. Veja a documentação aqui. Observe que apenas as chamadas diretas removerão os usuários. Os eventos de Excluir iniciados pela sua solução de identidade serão tratados como uma solicitação para Desativar.

Atributos compatíveis

⚠️ Observe que:
- E-mail / Parâmetro primário / Identificador único / Nome de usuário) é o único valor exigido pela Miro e deve estar no formato de um e-mail.
- A atualização por e-mail só é possível para usuários já sincronizados. Em outras palavras, a primeira sincronização deve ocorrer quando o e-mail no IdP e na Miro for o mesmo; caso contrário, a Miro não reconhecerá o usuário e será criado um perfil duplicado da Miro no novo e-mail.
- A atualização de e-mail deve ocorrer no perfil do IdP do usuário, não na lista de atribuições.
- Ao contrário de outros atributos, atualizar o e-mail do usuário enviará uma notificação: tanto o endereço de e-mail antigo quanto o novo receberão uma notificação informando que o usuário agora deve usar o novo endereço de e-mail para fazer login na Miro.

⚠️ Contas da Miro não têm senha — o início de sessão ocorre via link mágico, logon único (SSO) ou conta social — portanto não existe atributo de senha para sincronizar via SCIM.
⚠️ Nome de usuário, UserType e roles.value não podem ser atualizados para Usuários desativados. 

Todos os atributos serão exibidos na lista CSV de usuários exportada, que pode ser baixada na seção Usuários ativos.

A opção de baixar uma lista de usuários

Como configurar o SCIM

Passo 1: habilitar a opção do SCIM na Miro

Para habilitar o SCIM no seu plano Enterprise da Miro, vá para as configurações da Empresa > Integrações Enterprise, e habilite a funcionalidade de provisionamento do SCIM. Lá você pode obter a URL base e o token da API para configurar seu IdP.

Passo 2: configurar seu provedor de identidade

A configuração dependerá do provedor de identidade que você utilizar. A Miro é compatível com Okta e Entra ID pré-configurados; no entanto, você pode usar qualquer provedor de identidade de sua preferência, desde que ele permita configurar o SCIM.

OKTA - veja as instruções de configuração aqui.

Entra ID - veja as instruções de configuração aqui.

Gerar novo token

1. Acesse as Configurações da empresa > Integrações Enterprise.
2. Na seção Provisionamento SCIM, clique Gerar novo token.
3. Na janela Gerar novo token SCIM, clique em Gerar.
4. Depois de gerar um novo token, configure-o no seu provedor IdP.

Possíveis problemas e como resolvê-los

Para mais informações sobre erros do SCIM, consulte nossa documentação. Se o problema persistir, entre em contato com a equipe de Suporte da Miro.